Vertrag über die Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO – Hosting, Betrieb und Wartung von Websites Version 1.0 – Stand 11.09.2026

zwischen dem Auftraggeber (Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO), nachfolgend „Auftraggeber“, und

ehrlich.media

Inhaber: Philipp Poppe

Hauptstraße 20a

49196 Bad Laer

E-Mail: datenschutz@ehrlich.media

Internet: ehrlich.media

nachfolgend „Auftragnehmer“.

§ 1 Zustandekommen und Geltung

(1) Dieser Vertrag wird vom Auftragnehmer unter https://avv.ehrlich.media in der jeweils gültigen Version bereitgestellt. Er kommt zustande, indem der Auftraggeber die Annahme der dort genannten Version in Textform erklärt (Art. 28 Abs. 9 DSGVO, § 126b BGB) – über das Annahmeformular unter https://avv.ehrlich.media, per E-Mail an den Auftragnehmer oder durch Bezugnahme in einem Angebot, Auftrag oder Hauptvertrag unter Angabe der Version. Eigenhändige Unterschriften sind nicht erforderlich.

(2) Der Auftragnehmer bestätigt die Annahme in Textform unter Angabe von Datum, Uhrzeit und Version und übermittelt dem Auftraggeber ein vollständiges Vertragsexemplar. Zeitpunkt, angenommene Version und eine Prüfsumme des angenommenen Vertragstextes werden dokumentiert, damit beide Seiten jederzeit belegen können, welche Fassung gilt. Beide Parteien bewahren den Nachweis auf.

(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Hauptvertrag (Angebot, Auftrag oder Leistungsbeschreibung „Hosting und Wartung“). Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor.

(4) Ändert der Auftragnehmer diesen Vertrag oder seine Anlagen, stellt er die neue Version mit Änderungsdatum bereit und informiert den Auftraggeber in Textform. Widerspricht der Auftraggeber nicht innerhalb von vier Wochen, gilt die neue Version als angenommen; hierauf wird in der Mitteilung hingewiesen. Anlage 3 (Unterauftragsverarbeiter) unterliegt dem Verfahren nach § 7.

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer betreibt, wartet und aktualisiert für den Auftraggeber dessen Website(s) auf vom Auftragnehmer bereitgestellter Serverinfrastruktur. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers, insbesondere Server-Protokolldaten und Daten, die Besucher über die Website übermitteln.

(2) Gegenstand, Datenarten und Kreis der Betroffenen sind in Anlage 1 beschrieben.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Dieser Vertrag endet mit dem Hauptvertrag, frühestens jedoch, wenn die Daten nach § 11 gelöscht oder zurückgegeben sind.

(4) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und ist nur unter den Voraussetzungen der Art. 44 ff. DSGVO zulässig.

§ 3 Weisungsgebundenheit

(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO). Der Hauptvertrag, dieser Vertrag und die Leistungsbeschreibung gelten als erste Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Weisungsberechtigte und -empfangende Personen sind in Anlage 1 benannt; Änderungen sind in Textform mitzuteilen.

§ 4 Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu personenbezogenen Daten des Auftraggebers haben, auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) und stellt sicher, dass sie mit den einschlägigen Datenschutzvorschriften vertraut sind. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort. Der Auftragnehmer weist die Verpflichtung auf Verlangen nach.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie auf dem Stand der Technik. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

(2) Der Auftragnehmer überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens jährlich.

§ 6 Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenanfragen (Art. 12 bis 22 DSGVO). Anfragen Betroffener, die beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

(3) Für Unterstützungsleistungen, die über den Hauptvertrag hinausgehen, kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern sie nicht durch ihn zu vertretende Umstände ausgelöst wurden.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens vier Wochen vorher. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrags zu, soweit die Leistung ohne den Unterauftragsverarbeiter nicht erbracht werden kann.

(3) Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und stellt vor dem Einsatz sicher, dass dieser hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bietet.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf Inhaltsdaten des Auftraggebers, z. B. Telekommunikation, Post, Wartung von Bürogeräten oder die Verwaltung von Quellcode ohne personenbezogene Daten.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an die in Anlage 1 genannte Kontaktadresse, damit der Auftraggeber seine Meldepflicht nach Art. 33 DSGVO (72 Stunden) erfüllen kann.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktperson. Fehlende Informationen werden nachgereicht.

(3) Der Auftragnehmer dokumentiert Verletzungen einschließlich der Umstände, Auswirkungen und Abhilfemaßnahmen und unterstützt den Auftraggeber bei Meldung und Benachrichtigung.

§ 9 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber kann sich vor Beginn und regelmäßig während der Verarbeitung von der Einhaltung der Pflichten des Auftragnehmers überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer stellt hierzu alle erforderlichen Informationen zur Verfügung, insbesondere die Anlagen dieses Vertrags, Nachweise über Vertraulichkeitsverpflichtungen und Prüfberichte oder Zertifizierungen seiner Unterauftragsverarbeiter.

(2) Inspektionen vor Ort erfolgen nach angemessener Ankündigung (in der Regel vier Wochen), während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden des Auftragnehmers. Der Auftragnehmer kann eine angemessene Vergütung verlangen, wenn eine Inspektion mehr als einmal jährlich ohne konkreten Anlass erfolgt.

§ 10 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Er stellt insbesondere sicher, dass seine Website eine zutreffende Datenschutzerklärung enthält, in der der Auftragnehmer als Hosting-Dienstleister und dessen Unterauftragsverarbeiter genannt werden.

(2) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

§ 11 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags gibt der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten, Website-Inhalte und Datenbanken in einem gängigen Format zurück oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO). Die Löschung wird auf Verlangen in Textform bestätigt.

(2) Die Rückgabe erfolgt innerhalb von 30 Tagen nach Vertragsende. Anschließend werden die Daten gelöscht; Sicherungen laufen systembedingt innerhalb von längstens 14 weiteren Tagen aus.

(3) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den gesetzlichen Aufbewahrungsfristen weiter aufbewahren.

§ 12 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Der Auftragnehmer haftet nur für Schäden, die durch eine Verarbeitung verursacht wurden, bei der er den speziell den Auftragsverarbeitern auferlegten Pflichten der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung rechtmäßiger Weisungen des Auftraggebers gehandelt hat.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; das gilt auch für den Verzicht auf dieses Erfordernis.

(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem Zweck am nächsten kommt.

(3) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragnehmers.

(4) Bestandteile dieses Vertrags sind: Anlage 1 (Gegenstand der Verarbeitung), Anlage 2 (Technische und organisatorische Maßnahmen), Anlage 3 (Unterauftragsverarbeiter).

Annahme des Vertrags

Der Vertrag wird ohne eigenhändige Unterschrift geschlossen. Vorgesehen sind zwei Wege:

1. Über das Formular unter https://avv.ehrlich.media. Dort werden die Angaben für Anlage 1 erfasst (Auftraggeber, Website, weisungsberechtigte Person, Kontakt für Datenpannen, gegebenenfalls Datenschutzbeauftragter). Nach dem Absenden erhält der Auftraggeber unmittelbar eine Bestätigung mit dem vollständigen Vertragsexemplar als PDF sowie einen dauerhaft abrufbaren Nachweis.

2. Per E-Mail an datenschutz@ehrlich.media mit einer Erklärung, welche Version angenommen wird, sowie den Angaben für Anlage 1. Der Auftragnehmer bestätigt in Textform; beide Nachrichten zusammen bilden den Vertragsnachweis.

Dokumentiert werden in beiden Fällen: Zeitpunkt der Annahme, die angenommene Version, eine Prüfsumme des Vertragstextes sowie die erklärende Person. Ältere Versionen bleiben unverändert archiviert, damit jede Annahme ihrem Wortlaut zugeordnet bleibt.

Wird eine neue Version veröffentlicht, informiert der Auftragnehmer den Auftraggeber nach § 1 Abs. 4 in Textform.